El 50% de los Auditores Todavía No Usa Inteligencia Artificial. ¿Estás en el Grupo Correcto?

Una encuesta realizada en LinkedIn a profesionales de auditoría, compliance y prevención de fraudes reveló algo que debería preocuparnos: el 32% de los encuestados no usa inteligencia artificial en ninguno de sus procesos, y un 16% adicional todavía lo está evaluando. Sumados, estamos hablando de casi la mitad de los especialistas del sector que aún no han dado el paso.

Mientras tanto, los defraudadores ya llevan años usando tecnología avanzada. Usan ingeniería social automatizada, phishing sofisticado, clonación de voz con IA y ataques de ransomware cada vez más dirigidos. La brecha entre quienes investigan el fraude y quienes lo cometen se está ampliando. Y la única forma de cerrarla es adoptar las mismas herramientas.

Este artículo resume los puntos clave del webinar presentado por el Econ. José Antonio Flores Rosas, especialista en prevención, detección e investigación de fraudes y ex funcionario de la Contraloría General del Perú.

Primero lo primero: sin gestión de riesgos, la IA no sirve de nada

Antes de hablar de inteligencia artificial, hay una verdad incómoda que vale la pena decir con claridad: de nada sirve tener herramientas sofisticadas si no sabes identificar los riesgos que quieres mitigar.

Una encuesta de Pirani con 530 participantes de 15 países de Latinoamérica identificó que el principal obstáculo para una buena gestión de riesgos no es la falta de tecnología. Es la falta de cultura de riesgos, con un 36.1% de los encuestados señalándola como la dificultad número uno. En el sector público peruano, esa cifra llega al 72%.

La misma encuesta identificó el top 5 de riesgos en Latinoamérica:

1. Ciberseguridad y protección de datos — 75%
2. Cambios regulatorios y cumplimiento normativo
3. Fraude y delitos financieros
4. Continuidad del negocio — 47.2%
5. Incertidumbre macroeconómica

El fraude está en el tercer lugar de los riesgos más críticos de la región. Y la ciberseguridad, que encabeza la lista, es en gran medida un problema de fraude digital.

La regla de oro: Primero identifica el riesgo. Luego valóralo. Luego diseña el control. Recién entonces la inteligencia artificial tiene sentido, porque vas a saber exactamente qué le estás pidiendo que analice.

El paradigma que hay que romper: la gestión de riesgos no es responsabilidad de una sola área

En el sistema financiero existe una pugna permanente entre la gerencia de riesgos y la gerencia de negocios. La gerencia de negocios quiere colocar créditos, vender productos, crecer. La gerencia de riesgos quiere controlar, frenar, revisar. Esa tensión, cuando no se gestiona bien, se convierte en un punto ciego enorme.

El problema de fondo es un paradigma equivocado: creer que la gestión de riesgos es responsabilidad exclusiva del área de riesgos. No lo es. El dueño del proceso es el responsable de identificar los riesgos de fraude en su propio proceso.

Esto aplica en todos los sectores. En el sector público, el área más crítica suele ser contrataciones. En el sector minero, los procesos de adquisición y logística. En el sector financiero, la colocación de créditos y la apertura de cuentas. En cada caso, quien mejor conoce el proceso es el dueño del proceso, no el área de riesgos.

Romper ese paradigma requiere programas de sensibilización, capacitación continua y una cultura organizacional donde todos sepan identificar, valorar y reportar riesgos. Sin eso, ninguna herramienta tecnológica va a funcionar.

La IA en las tres fases del combate al fraude

Fase 1: Prevención

La auditoría forense preventiva busca evaluar si los controles internos antifraude existen, son efectivos y son suficientes. Tres condiciones que deben cumplirse simultáneamente.

En esta fase, la inteligencia artificial permite:

• Construir banderas rojas o red flags basadas en los riesgos previamente identificados. Estas reglas no se inventan — se derivan del análisis de riesgos: identificar el riesgo, valorarlo por probabilidad de ocurrencia e impacto, y diseñar el control que lo mitiga.
• Monitorear transacciones en tiempo real buscando comportamientos inusuales. Por ejemplo: consumos sucesivos con la misma tarjeta en menos de tres minutos, cuentas digitales que reciben depósitos frecuentes y los transfieren inmediatamente a otra institución, o créditos colocados por un mismo asesor que caen en mora desde la primera o segunda cuota.
• Analizar correos electrónicos internos buscando palabras clave asociadas a conductas de riesgo: "urgente", "hazlo ya", "sin preguntar", "por la puerta de atrás". Un algoritmo entrenado con esas variables puede identificar patrones de comunicación que preceden a actos fraudulentos.
• Automatizar encuestas de control interno a través de chatbots que recogen respuestas estandarizadas del personal y evalúan el nivel de conocimiento sobre el código de ética y los controles vigentes.

Un caso concreto: en una entidad financiera se detectó que un asesor estrella — el mejor colocador de créditos — tenía todos sus créditos cayendo en la segunda cuota. Al cruzar ese dato con su estado de endeudamiento personal y su relación sentimental con la gerente que aprobaba los créditos, se identificó un claro conflicto de intereses que no había sido mapeado en la matriz de riesgos. El control no existía porque nadie había identificado ese riesgo.

Fase 2: Detección

En la detección, la velocidad lo es todo. La IA permite analizar millones de transacciones en segundos e identificar anomalías que tomarían semanas detectar manualmente.

Algunas aplicaciones concretas:

• Reducción de falsos positivos. Antes del machine learning, los sistemas de alerta generaban grandes cantidades de falsos positivos que obligaban a llamar a clientes innecesariamente, generando fricción y desconfianza. Un banco que implementó modelos de aprendizaje automático logró reducir sus falsos positivos en un 60%, mejorando la eficiencia operativa y la experiencia del cliente.
• Análisis de comportamiento del consumidor. Sistemas como el de Visa utilizan IA para determinar en tiempo real si una transacción es legítima, comparando el comportamiento actual del tarjetahabiente con su historial, sin afectar la experiencia de compra.
• Detección de lavado de activos. HSBC utiliza inteligencia artificial para monitorear millones de transacciones diarias y detectar estructuras de lavado de dinero en tiempo real, ajustando dinámicamente los umbrales de alerta para reducir falsos positivos.

La ley de Benford, aplicada a través de herramientas de análisis de datos, también sigue siendo válida en esta fase para identificar anomalías estadísticas en grandes volúmenes de transacciones contables.

Fase 3: Investigación

Aquí la IA cambia radicalmente los tiempos. Un caso ilustrado durante el webinar: el expositor debió revisar 50 cajas con 50 órdenes de servicio cada una — 2,500 documentos en total — para determinar el perjuicio económico en un peritaje. Ese trabajo le tomó meses. Con una herramienta de análisis de texto entrenada correctamente, podría haberse completado en semanas o días.

Una colega del webinar compartió su experiencia: en un caso de blanqueo de capitales, utilizaron la técnica RAG (Retrieval Augmented Generation), que combina un modelo de lenguaje grande con un sistema de recuperación de información. Configuraron un chatbot con los prompts correctos y obtuvieron respuestas precisas sobre el 100% de los documentos del caso. Una pregunta de ejemplo: "¿Qué bienes inmuebles fueron adquiridos con estos fondos y quiénes son los beneficiarios finales, incluyendo propiedades en otros países?"

Punto clave sobre el muestreo: En investigación forense no se muestrea — se analiza todo el universo de información para determinar el perjuicio real. La IA hace esto posible. En auditoría preventiva sí puede usarse muestreo porque el objetivo es evaluar la efectividad de los controles, no cuantificar un daño.

La IA también está del otro lado: cómo los defraudadores la usan

Sería ingenuo hablar de IA como herramienta del investigador sin mencionar que los defraudadores la están usando con la misma intensidad. Algunos ejemplos documentados:

• Facturas falsas generadas con IA que replican con precisión el formato, tipografía y datos de proveedores reales.
• Ataque del hombre en el medio. Una factura enviada legítimamente es interceptada en tránsito, modificada — cambiando el nombre del beneficiario y el monto — y reenviada a la empresa pagadora. El pago se realiza a una cuenta fraudulenta.
• Clonación de voz. Se captura la voz de un ejecutivo a través de grabaciones públicas o llamadas previas. Luego se realiza una llamada telefónica suplantando esa voz para autorizar transferencias millonarias. Este tipo de ataque ya se ha materializado con pérdidas reales.
• Phishing y vishing mejorados con IA que personalizan los mensajes con información real de la víctima, haciéndolos casi indistinguibles de comunicaciones legítimas.

En Perú, los delitos informáticos pasaron de 18,424 casos en 2021 a 29,500 en 2023. Solo en el primer trimestre de 2025 se registraron 9,123 ataques — una cifra que proyectada al año supera los registros anteriores.

El riesgo que nadie menciona: tus datos en manos de la IA gratuita

Aquí viene una advertencia crítica que muchos profesionales ignoran: cuando utilizas una herramienta de IA gratuita — ChatGPT, Gemini, Copilot, entre otras — y le cargas información de una organización, esa información queda almacenada en los servidores de esa herramienta.

Si esa información incluye datos personales de clientes, expedientes de investigación, estados financieros o cualquier dato sensible, estás realizando una transferencia internacional de datos no autorizada, que en la mayoría de los países latinoamericanos viola la normativa de protección de datos personales. En el caso de Perú, por ejemplo, muchas de estas plataformas operan desde servidores ubicados en China o fuera de la región, lo que agrava el riesgo regulatorio.

Las recomendaciones para mitigar este riesgo son:

• Bloquear el acceso de los colaboradores a IA gratuitas desde los sistemas corporativos.
• Si se va a usar IA comercial, construir una matriz de riesgos específica para el proveedor antes de contratar.
• Garantizar el consentimiento informado cuando se procesen datos personales.
• Establecer protocolos estrictos sobre qué información puede ingresar a cualquier plataforma de IA.
• Revisar los contratos de las plataformas comerciales respecto a cómo usan y almacenan los datos que les proporcionas.

Advertencia adicional — las alucinaciones de la IA: La IA puede generar información incorrecta con total confianza. Un abogado perdió un juicio porque la IA que usó para preparar sus argumentos citó normativas que no existían. En auditoría forense, cualquier dato que genere la IA debe ser validado contra fuentes originales antes de incluirse en un dictamen o informe.

Cómo empezar hoy: un ejemplo práctico con Copilot

Durante el webinar se hizo una demostración en vivo. El expositor ingresó a Copilot y le pidió: "Diseña un plan lúdico y fácil de entender sobre prevención, detección e investigación de fraudes orientado al sistema financiero."

En segundos, la herramienta devolvió: objetivo del plan, público objetivo, estrategias lúdicas y educativas, indicadores de éxito y una oferta para profundizar en materiales visuales, guiones de facilitación o campaña de comunicación interna.

¿Es perfecto? No. Hay que revisar, ajustar y validar cada elemento. Pero lo que en otro contexto tomaría días de diseño, la IA lo genera en segundos como punto de partida. El profesional sigue siendo quien dirige, valida y firma.

Otras aplicaciones prácticas que puedes comenzar a usar hoy:

• Pedirle a la IA que analice contratos en busca de cláusulas riesgosas o inusuales.
• Usar análisis de texto para revisar cientos de correos buscando palabras clave de alerta.
• Aplicar la ley de Benford sobre bases de datos contables para detectar anomalías estadísticas.
• Generar cronogramas, matrices de riesgo y plantillas de entrevista forense en minutos.

Conclusión: la IA no reemplaza al auditor forense, lo potencia

La inteligencia artificial no va a hacer tu trabajo. Va a darte información más rápido, más completa y con menos errores para que tú puedas hacer mejor tu trabajo. El juicio profesional, la experiencia forense, el conocimiento del contexto legal y la responsabilidad de firmar un dictamen siguen siendo tuyas.

Lo que sí cambia es la velocidad. Lo que antes tomaba meses puede tomar semanas. Lo que tomaba semanas puede tomar días. Esa diferencia, en un proceso judicial donde los plazos importan, puede ser determinante.

El fraude ya usa IA. La pregunta no es si debes usarla tú también. La pregunta es cuándo vas a empezar.

Resumen elaborado a partir del Webinar "La Hora del Perito", con la participación del Econ. José Antonio Flores Rosas, especialista en prevención, detección e investigación de fraudes, ex funcionario de la Contraloría General del Perú y ex jefe de fraudes en entidades del sistema financiero. Organizado por AICAF y el Colegio de Contadores y Auditores del Ecuador.